Gateway/VLAN Implementierung - DAU braucht fachlichen Rat

[Don81]

Moin,

ich habe so ziemlich null Ahnung von Netzwerken und IT. Mein Kind ist seit einem Jahr schwer erkrankt und als abendliche Ablenkung in dieser Elendszeit habe ich verschiedene IT-Projekte mit GPT -mitunter mit viel Qual- umgesetzt. Jetzt hat die „KI“ mich zu einem Projekt überredet und scheitert kläglich.

Ich betreibe hier im Haus hinter einer FRITZ!Box 6690 Cable ein Netzwerk basierend auf Omada mit OC200, zwei Switches, vier Access Points und knapp 60 Endgeräten. Der Internetanschluss läuft über Vodafone Kabel mit DS-Lite. Die FRITZ!Box erhält vom Anbieter ein IPv6-Präfix /59.

GPT hatte jetzt die glorreiche Idee, ein Gateway ins System zu setzen, um per VLAN ein IoT-Netz einzurichten, und war der festen Überzeugung, dass es mich anleiten könnte. Ein ER707-M2 wurde dafür angeschafft. Jetzt rudert die KI zurück: Trotz umfangreicher Bestandsaufnahme liegt noch kein geprüfter Umstellungsplan vor.

Geplant war, dass die FRITZ!Box für Kabelanschluss und Telefonie zuständig bleibt, künftig im Transitnetz 192.168.254.0/24. Dahinter soll der ER707 als Router arbeiten und das bestehende Hauptnetz 192.168.178.0/24 möglichst samt Geräteadressen erhalten bleiben. Zusätzlich soll ein IoT-VLAN 20 mit 192.168.20.0/24 eingerichtet werden. Das Hauptnetz darf Verbindungen zu IoT aufbauen, IoT aber keine neuen Verbindungen ins Hauptnetz — für IPv4 und IPv6. Möglichst ohne zusätzliches NAT am ER707; dafür sind statische Rückrouten auf der FRITZ!Box vorgesehen. Beide Switches sollen direkt am ER707 angeschlossen werden, damit ein Neustart des ersten Switches den zweiten Zweig nicht mit unterbricht.

Warum die KI jetzt Schiss hat:
"Der Controller hat aktuell 192.168.0.1/24 als manuelle LAN-Vorgabe gespeichert, die bei der Gateway-Einbindung übernommen werden könnte. Vorher muss deshalb geklärt werden, welche Einstellungen das Gateway bekommt und wie Controller und Router während der Umstellung erreichbar bleiben. Der OC200 erhält seine Adresse derzeit per DHCP ohne Reservierung; seine bisherige Adresse müsste bei der künftigen Adressvergabe berücksichtigt werden.

Außerdem sind die IPv6-Abschottung bei wechselnden Präfixen und die Übernahme der Adressvergabe noch ungeklärt. Es fehlt ein geprüfter Ablauf: Welche Einstellungen müssen vor dem Umstecken vorbereitet werden, funktioniert die IPv6-Trennung, und wie komme man bei einem Fehler zurück? Die Sorge ist, dass beim Umbau Internet und Zugriff auf die Geräteeinstellungen ausfallen und ein Laie das selbst nicht reparieren kann."

Meine Fragen an die Pros:

• Macht das ganze Unterfangen überhaupt Sinn?
• Reicht es, der KI einen Ablaufplan zu geben, sollte ich einen ITler beauftragen oder es einfach sein lassen?

Ich danke Euch.

 

[Efaniel]

Erstmal mein Beileid - ich kenne so etwas leider und wenn man sich ablenken kann, ist das super.
Ich drücke auf jeden Fall die Daumen das es wieder besser wird!

Zu deiner Frage:

KI ist beim Thema Netzwerk nicht immer zwingend die beste Wahl.

Soll die 6690 Cable als Bridge laufen?

Wenn das so ist, dann wirst du mit dem ER707 Probleme bekommen, da TP-Link in der Omada-Serie soweit ich weiss NOCH IMMER kein DS-Lite unterstützt.
Mit einem echten Dual-Stack Anschluss wäre das kein Problem, aber DS-Lite spricht der Router nicht.
RFC 6333/6334 und DHCPv6 Option 64 die für DS-Lite notwendig sind, damit ein AFTR Gateway eingetragen wird, können leider bisher nur die Archer-Router soweit ich weiss.

Wenn die 6690 als Router/Gateway bleibt dann wirst du zwangsläufig eigentlich Doppel-NAT aufbauen, wenn die Geräte hinter dem ER707 sind - durchreichen von IPv6 Adressen an die Endgeräte wird dann ebenfalls schwierig.

Darf ich mal Fragen, was das eigentliche Ziel der Übung ist? Geht es nur darum das Netz mittels VLANs aufzuteilen, in dem Fall speziell die IoT-Geräte?

 

[Don81]

Danke für deine Antwort und deine Anteilnahme. Momentan ist er auf einem guten Weg aber es gab so viele derbste Rückschläge und hohe Preise zu zahlen, dass ich sehr vorsichtig mit dem Optimismus bin.

Bei den KI-Projekten hängt es sehr am Modell. Die behaupten halt immer, dass die alles können. Hab mit 4o Paperless eingerichtet und dafür müsste mir OpenAI eigentlich Schmerzensgeld zahlen. Ab 5.2 waren die in der Lage ohne Probleme das ganze System faktisch alleine einzurichten und die env sowie die docker.compose fehlerfrei zu schreiben.

Nein, die 6690 soll nicht als Bridge laufen. Sie bleibt Router und übernimmt weiterhin den Vodafone-Anschluss mit DS-Lite sowie die Telefonie. Der ER707 sitzt dahinter und muss deshalb selbst kein DS-Lite beherrschen.

Das zusätzliche NAT am ER707 hatten wir bereits in einem separaten Test über „Disable NAT“ abgeschaltet und eine passende Rückroute auf der FRITZ!Box eingerichtet. Dahinter funktionierten Internet und PS5-Multiplayer; die PS5 zeigte NAT-Typ 2. Der Betrieb ohne zusätzliches NAT wurde also bereits getestet. Offen ist noch die Übernahme dieser Konfiguration bei der Einbindung des ER707 in Omada.

Auch IPv6 funktionierte im Test: Die FRITZ!Box erhielt vom Anbieter ein /59 und delegierte ein /62 an den ER707. Noch nicht getestet wurde die spätere Abschottung zwischen Hauptnetz und IoT über IPv4 und IPv6.

Das Hauptziel ist die Trennung der IoT-Geräte vom übrigen Heimnetz. Vom Hauptnetz möchte ich sie weiterhin bedienen können; umgekehrt sollen sie keine neuen Verbindungen ins Hauptnetz aufbauen dürfen. Die bisherigen Geräteadressen im Hauptnetz sollen möglichst erhalten bleiben.

 

[autopilot]

Netzwerktechnisch bin ich leider nicht so tief drin und kann wenig dazu beitragen, aber ich drücke euch von Herzen die Daumen, dass alles gut wird.

 

[thrawnx]

Dafür hättest du kein ER707-M2 gebraucht. Ein Switch der VLAN beherrscht hätte auch gereicht und wäre ruck zuck geconft.

 

[redjack1000]

@thrawnx.

Dann beschreib das mal Detail.

CU
redjack

 

[thrawnx]

@redjack1000 Okay, hätte vielleicht präziser sein müssen dass er L3 können muss. Gibts aber halt für 25€ auf Ebay. Oder eine kleine Fortigate 40F z.B. zwischen Router und Switche setzen, kostet 100€ auf Kleinanzeigen/Ebay und bringt noch Geoblocking etc. mit, auch ohne Lizenz.